Каждая запись содержит серийный номер, дату отзыва и необязательный код причины (keyCompromise, superseded, cessationOfOperation и другие). В списке есть thisUpdate, nextUpdate, монотонно возрастающий cRLNumber и подпись издателя. Крупные CA разбивают свои CRL на части; каждый сертификат указывает на свой CRL через расширение CRL Distribution Points, а публичные CA также раскрывают полный набор URL своих CRL в CCADB.
Согласно Базовым требованиям (Baseline Requirements) публичный CA должен публиковать новый CRL для конечных сертификатов не реже чем раз в 7 дней (раз в 4 дня, если не все его сертификаты содержат URL OCSP) и в течение 24 часов после отзыва. Браузеры не скачивают CRL при каждом соединении, а сводят их в компактные наборы (CRLite в Firefox, CRLSets в Chrome), поэтому CRL сейчас — основной канал отзыва в веб-PKI.
CRL бывают большими, а их свежесть ограничена nextUpdate, поэтому клиенты, которые их кешируют, узнают об отзыве с опозданием. Декодер CRL показывает записи файла CRL.